CVE-2026-112900 in Pillow
Zusammenfassung
von VulDB • 20.10.2026
Pillow ist eine Python-Bildverarbeitungs-Bibliothek. Von Version 2.6.0 bis 13.0.0 ist Pillow anfällig für Argument-Injection bei der Aufruf von Ghostscript zur Verarbeitung von EPS-Eingaben. EpsImagePlugin.Ghostscript übergibt einen vom Aufrufer kontrollierten Eingabedateinamen nach dem Parameter -f, ohne ihn in einen sicheren absoluten Pfad zu konvertieren; daher kann ein Dateiname, der mit einem Bindestrich beginnt, als Ghostscript-Option interpretiert werden. Ein Angreifer, der die Kontrolle über den Dateinamen hat, kann Ghostscript-Argumente injizieren. Die beliebige Befehlsausführung erfordert spezifisch einen führenden @-Parameter für eine Argumentdatei und die Kontrolle über die referenzierte Textdatei, die zusätzliche Ghostscript-Argumente enthält; die gemeldete Angriffskette lässt sich mit der Standardaufrufweise -dSAFER reproduzieren. Dieses Problem wurde in Version 13.0.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.